Certificado HTTPS automático: porque nunca mais precisa de comprar um
O cadeado junto a um endereço web é um certificado HTTPS: um pequeno ficheiro que prova que um navegador está mesmo a falar com o seu site, e encripta tudo entre os dois. Os navegadores hoje avisam os visitantes para se afastarem do HTTP simples, e os motores de busca contam o HTTPS para a classificação há anos. O que deixa uma questão prática — ainda tem, pessoalmente, de ir comprar um? Não. Eis o que substituiu essa tarefa.
A forma antiga, e porque era tão penosa
Escolhia uma autoridade de certificação, gerava um pedido de assinatura no seu próprio servidor, pagava — anualmente, ou vários anos de uma vez — e depois instalava manualmente o certificado, a sua chave privada e um ficheiro de cadeia intermédia. Nada disto era exatamente difícil. Era mais uma coisa pela qual era o próprio, especificamente, o responsável por manter correta, com uma data de validade rígida associada.
A via automatizada: o que mudou
As autoridades de certificação agora emitem através de um protocolo automatizado em vez de um processo humano: prova o controlo de um domínio por máquina, e um certificado chega em segundos, gratuito, válido por uma janela muito mais curta do que os antigos pagos. Mais curto parece pior; é o oposto. A renovação também é automática, por isso um certificado de vida curta que se renova silenciosamente sozinho tem muito menos probabilidade de acabar expirado e esquecido do que um certificado de dois anos que ninguém vigia.
Como funciona realmente a emissão «a pedido»
Um edge automatizado moderno vai um passo mais além: pede um certificado para um nome de anfitrião no primeiro momento em que chega tráfego real, em vez de pré-provisionar cada certificado que possa alguma vez precisar. O edge não precisa de conhecer o seu domínio antecipadamente — só de saber verificar, quando o seu domínio aparece, se está autorizado a emitir para ele.
O que acontece depois de o domínio ser verificado
1
A propriedade fica comprovada
A verificação de propriedade por DNS é aprovada — veja ligar um domínio para saber exatamente o que isso envolve.
2
O primeiro pedido real desencadeia a emissão
No momento em que o tráfego para o seu domínio chega à periferia da rede, é pedido um certificado à autoridade de certificação pública em seu nome.
3
O certificado é instalado automaticamente
Não há ficheiro para descarregar nem configuração de servidor para mexer — o edge guarda e serve o certificado por si próprio.
4
A renovação acontece em segundo plano
A camada de borda acompanha a validade dos seus próprios certificados e renova-os com antecedência, sem qualquer ação da sua parte, indefinidamente.
Como a Olmira trata disto
O edge da Olmira funciona exatamente segundo este modelo: TLS a pedido, condicionado à verificação do domínio, emitido por uma autoridade de certificação pública assim que o domínio é confirmado como seu. Não existe nenhum ficheiro de certificado em lado nenhum no Control porque não há nada a gerir. Um estado «pendente» normalmente só significa que nenhum visitante real chegou ao domínio desde que ele verificou — está concebido para ficar em «pendente» em vez de passar a erro por um soluço momentâneo, por isso é seguro ignorá-lo enquanto estabiliza.
O seu endereço gratuito yourname.olmira.app fica protegido por HTTPS desde o momento em que publica, e um domínio personalizado recebe exatamente o mesmo tratamento automático assim que verifica — veja ligar um domínio para o passo de DNS que o desbloqueia, e domínios personalizados para o que cada plano inclui.
Leitura relacionada
Ligar os registos DNS do domínio: TXT, CNAME e a espera — a etapa de verificação que tem de acontecer antes de qualquer certificado poder ser emitido.
Configuração de SPF, DKIM e DMARC: emails que chegam à caixa de entrada — os outros registos do seu domínio, para o lado do email em vez do lado do site.
Não. Na Olmira, o HTTPS está incluído com o seu endereço gratuito e com todos os domínios personalizados ligados — faz parte do domínio funcionar, nunca é uma rubrica separada.
Que essa emissão ainda não foi confirmada como concluída — muitas vezes simplesmente porque nenhum visitante real chegou ao domínio desde que este foi verificado, já que a emissão a pedido é despoletada por esse primeiro pedido real. Não é um estado de erro, e resolve-se sozinho.
Sim. Um certificado emitido por uma autoridade de certificação pública através do protocolo automatizado é considerado fidedigno por todos os navegadores padrão exatamente como um certificado comprado — o facto de a validação ser automatizada não o torna mais fraco, torna-o consistente.
Nada precisa de ser revogado ou limpo manualmente do seu lado — um certificado emitido a pedido para um domínio que já não é servido é simplesmente deixado expirar sem uso, no ciclo de renovação da própria edge.
Não — é precisamente esse o objetivo da emissão automática. A renovação acontece antes da data de expiração, sem qualquer lembrete, entrada de calendário ou ação da sua parte.